Domaines fédérés : une porte dérobée discrète dans Entra ID
Après une compromission, on réinitialise les mots de passe, on révoque les sessions, on supprime les applications suspectes. Mais si l'attaquant a configuré la fédération d'un domaine vers un fournisseur d'identité qu'il contrôle, il peut continuer à émettre ses propres jetons. Les paramètres de domaine font partie des éléments à contrôler en priorité.
Le principe de la fédération
Un domaine personnalisé d'Entra ID peut être géré, auquel cas Entra ID vérifie lui-même les mots de passe, ou fédéré. Dans le second cas, l'authentification des utilisateurs de ce domaine est déléguée à un fournisseur d'identité externe, historiquement AD FS. Entra ID accepte alors tout jeton correctement signé par le certificat déclaré dans la configuration de fédération.
C'est précisément ce qui en fait une cible : quiconque contrôle la configuration de fédération, ou la clé de signature, peut produire des jetons qu'Entra ID tiendra pour authentiques, sans connaître aucun mot de passe.
Les techniques de persistance
| Technique | Principe |
|---|---|
| Ajout d'un domaine fédéré | L'attaquant ajoute un domaine qu'il possède, le vérifie par un enregistrement DNS, puis le fédère vers son propre fournisseur d'identité. Il peut ensuite forger des jetons pour des utilisateurs associés à ce domaine. |
| Conversion d'un domaine existant | Un domaine géré est converti en domaine fédéré pointant vers une infrastructure contrôlée par l'attaquant. |
| Certificat de signature supplémentaire | Sur un domaine déjà fédéré, un second certificat de signature est ajouté. L'infrastructure légitime continue de fonctionner, et l'attaquant signe ses propres jetons avec sa clé. |
| Vol de la clé AD FS | Sans modifier Entra ID, l'attaquant extrait la clé de signature du serveur AD FS et forge des jetons SAML valides. |
Selon la configuration, un jeton forgé peut aussi affirmer que la MFA a déjà été réalisée auprès du fournisseur d'identité. Le paramètre qui détermine si Entra ID accepte cette affirmation (federatedIdpMfaBehavior) mérite donc d'être contrôlé.
Rôles concernés. Il n'est pas nécessaire d'être administrateur général pour agir sur les domaines et la fédération. Les rôles Administrateur de noms de domaine et Administrateur d'identité hybride disposent de droits significatifs dans ce domaine : ils doivent être traités comme des rôles privilégiés.
Détecter
Les opérations sur les domaines sont journalisées dans les journaux d'audit Entra ID. Les libellés à surveiller comprennent notamment :
Add unverified domainetVerify domain: ajout d'un nouveau domaine ;Set domain authentication: passage d'un domaine de géré à fédéré, ou l'inverse ;Set federation settings on domain: modification des paramètres de fédération, dont les certificats.
Ces événements sont rares dans la vie normale d'un locataire. Chacun d'entre eux devrait déclencher une alerte et une vérification auprès de l'équipe responsable de l'identité.
Auditer la configuration
Au-delà des journaux, dont la rétention est limitée, l'état actuel doit être vérifié directement. Avec Microsoft Graph PowerShell, Get-MgDomain liste les domaines et leur type d'authentification, et Get-MgDomainFederationConfiguration -DomainId affiche, pour chaque domaine fédéré, l'émetteur, les adresses et les certificats de signature. Points de contrôle :
- Chaque domaine du locataire est-il connu et légitime ?
- Chaque domaine fédéré pointe-t-il vers l'infrastructure officielle de l'organisation ?
- Les certificats de signature, principal et suivant, correspondent-ils à ceux de cette infrastructure ?
- La fédération est-elle encore nécessaire ? Une migration vers l'authentification cloud supprime une grande partie de ce risque.
Ce qu'un audit vérifie
- La liste des domaines personnalisés et leur mode d'authentification.
- La configuration de fédération de chaque domaine fédéré, certificats compris.
- Le comportement vis-à-vis de la MFA revendiquée par le fournisseur d'identité.
- Les détenteurs des rôles permettant de gérer les domaines et la fédération.
- L'existence d'alertes sur les opérations de domaine et de fédération.